Ce qu’ETS dit avoir copié dans les dossiers d’élèves californiens

Educational Testing Service dit qu’une personne non autorisée a utilisé un identifiant compromis pour copier des dossiers d’élèves californiens depuis un site de transfert de fichiers. Les copies ont eu lieu, à divers moments, du 22 mai au 18 septembre 2026. ETS a découvert l’activité le 25 septembre. Le ministère de l’Éducation de la Californie a commencé à envoyer l’avis d’ETS aux élèves et aux familles le 16 octobre.

Le ministère n’a pas publié de nombre de personnes. L’avis couvre un large ensemble d’élèves, et il est précis sur ce que les fichiers contenaient et sur ce qu’ils ne contenaient pas. Les numéros d’assurance sociale, les comptes financiers, les mots de passe et les renseignements des parents ou tuteurs n’étaient pas dans les données copiées.

Si ni vous ni vos enfants n’avez jamais été inscrits dans une école publique de la Californie, ce n’est pas votre dossier. Les familles qui ont déménagé, y compris au Canada, peuvent quand même y figurer. La définition du ministère comprend les élèves qui ont quitté une école californienne depuis 2006 sans confirmer un transfert.

Ce qu’ETS détenait

ETS est le fournisseur des examens à l’échelle de la Californie, dont le California Assessment of Student Performance and Progress et les English Language Proficiency Assessments for California. Le site était le serveur SFTP qu’ETS utilisait pour échanger ces renseignements d’évaluation avec le ministère.

L’avis dit que les fichiers copiés comprennent les élèves inscrits au cours des trois années scolaires précédentes, et qu’ils ne se limitent pas à eux. Le contenu varie d’un élève à l’autre. Il peut comprendre :

• le nom, la date de naissance, l’adresse, l’école, le district et le niveau
• le Statewide Student Identifier, un numéro aléatoire de 10 chiffres que la Californie attribue à un élève du public, et un identifiant local
• le genre, la race ou l’origine ethnique, la langue première, le pays d’origine et le statut d’apprenant de l’anglais
• le statut de handicap et de l’article 504, les accommodements d’examen et le type de handicap principal
• l’admissibilité au titre I, partie A, au titre I, partie C, à McKinney-Vento et au programme Military Connected Student
• la compétence en anglais, ainsi que l’inscription, la participation et les résultats aux examens de l’État

La foire aux questions du ministère dit que le dossier de chaque élève ne contenait pas tout cela. Elle dit aussi que les données copiées ne comprenaient pas les numéros d’assurance sociale, les numéros de permis de conduire, les numéros de passeport, les cartes de paiement ni les mots de passe de compte, et qu’elles ne comprenaient pas les renseignements propres à un parent ou à un tuteur.

ETS dit qu’après avoir travaillé avec les forces de l’ordre et des experts externes, il a pris des mesures pour réduire le risque que les fichiers soient publiés, et que sa propre veille du Web ne les avait pas trouvés publics au moment de l’avis. C’est un constat sur ce qu’ETS avait trouvé, pas une promesse que les fichiers ne peuvent pas apparaître plus tard.

Qui est avisé

Les avis ont commencé le 16 octobre, et le ministère a dit s’attendre à ce que l’envoi se poursuive jusqu’au début de novembre. Une lettre ou un courriel signifie que les renseignements de cet élève se trouvaient dans les fichiers copiés.

Ne pas recevoir de lettre ne veut pas dire que vous avez été laissé de côté. La foire aux questions dit que certains élèves actuels et anciens peuvent ne pas être joints, surtout si leurs coordonnées ont changé. Elle définit les personnes concernées comme les élèves actuels et anciens inscrits dans une école publique californienne entre 2023 et l’année scolaire en cours, et les élèves qui ont quitté une école californienne depuis 2006 sans confirmer un transfert auprès du ministère.

L’État ne traite pas cela comme un mot de passe perdu. Le California Cybersecurity Integration Center aide pour l’analyse. Le ministère et le State Board of Education examinent aussi si ETS a respecté son contrat. Le site SFTP a été mis hors ligne. ETS dit en construire un nouveau.

Ce qu’on a dit aux familles de faire

ETS offre deux ans d’Experian IdentityWorks sans frais. La date limite d’inscription sur l’avis est le 19 mars 2027. Il y a un produit pour les mineurs et un produit pour les adultes. Un élève qui a 18 ans avant le 19 mars 2029 peut passer au produit adulte le jour de son anniversaire, avec le code de l’avis. La foire aux questions dit qu’une aide à la restauration de l’identité est offerte pendant 24 mois à compter de l’avis, même sans inscription à la surveillance, pour les personnes admissibles qui subissent réellement un vol d’identité. Aucune carte de crédit n’est demandée pour s’inscrire.

L’avertissement de l’avis compte plus que le nom du produit. Méfiez-vous d’un site qui ressemble à un service de protection de l’identité et qui vous demande de saisir les renseignements de l’élève. Les instructions d’inscription sont dans la lettre et sur la page de l’incident. Le numéro de téléphone imprimé sur l’avis est le 833-931-8488, en semaine de 6 h à 18 h, heure du Pacifique, et l’avis demande un numéro de dossier : B174774 pour un élève de moins de 18 ans, B174775 pour un élève de 18 ans ou plus. Un appel ou un texto qui demande un numéro d’assurance sociale, un mot de passe ou une carte n’est pas cette démarche. Ces éléments n’étaient pas dans les fichiers, et l’avis dit de ne pas les donner à un message non sollicité.

Les adultes peuvent placer un gel de crédit gratuit sur leur propre dossier. La foire aux questions dit aussi que les parents peuvent demander un gel de crédit gratuit pour un enfant de moins de 16 ans. Un gel est une mesure raisonnable. Il ne ramène pas les dossiers scolaires copiés.

Pour une famille au Canada, la question pratique est de savoir si un enfant a fréquenté une école publique californienne dans cette fenêtre. Si oui, utilisez la page du ministère plutôt qu’un lien dans un courriel inattendu. Si non, il n’y a rien à quoi s’inscrire, et rien dans cet incident à « vérifier » en remettant une date de naissance à quelqu’un.

Sources

• California Department of Education, « Educational Testing Service (ETS) Notification » (en anglais)
• California Department of Education, « ETS Data Security Incident » (en anglais), communiqué 45, 2026
• California Department of Education, « ETS incident questions » (en anglais)